OpenJDK が 2.6.1 - OpenJDK 8u51 に更新され、セキュリティの問題とバグが修正されました。

次の脆弱性が修正されました：

- CVE-2015-2590：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2597：インストールコンポーネントの容易に悪用できる脆弱性はオペレーティングシステムにログオンする必要があります。
 この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2601：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2613：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java SE、Java SE Embeddeda がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2619：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2621：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2625：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2627：インストールコンポーネントの悪用に非常に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。
 この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2628：CORBA コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2632：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2637：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2638：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2659：セキュリティコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、権限なしで部分的なサービス拒否（部分的な DOS）を引き起こすことができます。

- CVE-2015-2664：展開コンポーネントの悪用に困難な脆弱性はオペレーティングシステムにログオンする必要があります。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2808：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4000：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java Embedded がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4729：展開コンポーネントの悪用に非常に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。
 この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java SE がアクセスできるデータへの更新、挿入、削除、ならびに Java SE がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4731：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4732：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4733：RMI コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能でした。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4736：展開コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4748：セキュリティコンポーネントの悪用に非常に困難な脆弱性は、 OCSP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4749：JNDI コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、権限なしで部分的なサービス拒否（部分的な DOS）を引き起こすことができます。

- CVE-2015-4760：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

OpenJDK が 2.6.1 - OpenJDK 7u85 に更新され、セキュリティの問題とバグが修正されました。

次の脆弱性が修正されました：

- CVE-2015-2590：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2596：ホットスポットコンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、 Java がアクセスできる一部のデータに、権限なしでアクセスして、更新、挿入、削除ができるようになります。

- CVE-2015-2597：インストールコンポーネントの容易に悪用できる脆弱性はオペレーティングシステムにログオンする必要があります。
 この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2601：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2613：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java SE、Java SE Embeddeda がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2619：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2621：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2625：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2627：インストールコンポーネントの悪用に非常に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。
 この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2628：CORBA コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2632：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2637：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2638：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2664：展開コンポーネントの悪用に困難な脆弱性はオペレーティングシステムにログオンする必要があります。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2808：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4000：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java Embedded がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4729：展開コンポーネントの悪用に非常に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。
 この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java SE がアクセスできるデータへの更新、挿入、削除、ならびに Java SE がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4731：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4732：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4733：RMI コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能でした。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4736：展開コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4748：セキュリティコンポーネントの悪用に非常に困難な脆弱性は、 OCSP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4749：JNDI コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、権限なしで部分的なサービス拒否（部分的な DOS）を引き起こすことができます。

- CVE-2015-4760：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

情報漏洩、データ整合性、可用性に関連するいくつかの脆弱性が、 OpenJDK JRE で見つかりました。攻撃者がこれらを悪用して、サービス拒否またはネットワークでの機密データ漏洩を引き起こす可能性があります。（CVE-2015-2590、CVE-2015-2628、CVE-2015-4731、CVE-2015-4732、CVE-2015-4733、CVE-2015-4760、CVE-2015-4748）

OpenJDK JRE の暗号化コンポーネントにいくつかの脆弱性が発見されました。攻撃者がこれらを悪用して、ネットワークで機密データを漏洩する可能性があります。（CVE-2015-2601、CVE-2015-2808、CVE-2015-4000、 CVE-2015-2625、CVE-2015-2613）

セキュリティの改良として、この更新は OpenJDK の挙動を変更し、デフォルトで RC4 TLS/SSL 暗号化パッケージを無効にします。

セキュリティの改良として、この更新は OpenJDK の挙動を変更し、デフォルトで 768 ビット以下の DH キーサイズを拒否し、ダウングレードの攻撃を防ぎます。

情報漏洩に関連した、複数の脆弱性が OpenJDK JRE で見つかりました。攻撃者がこれらを悪用して、ネットワークで機密データを漏洩する可能性があります。（CVE-2015-2621、 CVE-2015-2632）

OpenJDK JRE の JNDI コンポーネントが DNS 解決を処理する方法で、脆弱性が発見されました。リモートの攻撃者が、これを悪用することにより、サービス拒否を引き起こす可能性があります。（CVE-2015-4749）。

複数のセキュリティ問題を修正する更新された java-1.6.0-ibm パッケージが、 Red Hat Satellite 5.6 および 5.7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

IBM Java SE バージョン 6 には、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットが含まれています。

この更新では、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、参照セクションにリスト表示されている IBM Java セキュリティアラートのページを参照してください。（CVE-2015-1931、CVE-2015-2590、CVE-2015-2601、CVE-2015-2621、CVE-2015-2625、CVE-2015-2632、CVE-2015-2637、CVE-2015-2638、CVE-2015-2664、CVE-2015-4000、CVE-2015-4731、CVE-2015-4732、CVE-2015-4733、CVE-2015-4748、CVE-2015-4749、CVE-2015-4760）

注：この更新は、IBM JDK の TLS/SSL クライアント実装に、 768 ビット未満のサイズの DH 鍵を強制的に拒否させることで、 CVE-2015-4000 の問題を解決します。この変更に関する詳細については、「参照」セクションにリンクがある Red Hat Bugzilla バグ 1223211 を参照してください。

Red Hat Satellite 5.6 および 5.7 のユーザーは、IBM Java SE 6 SR16-FP7 リリースを含む、これらの更新済みパッケージにアップグレードすることが推奨されます。
この更新を有効にするには、実行中の IBM Java のすべてのインスタンス、ならびに Red Hat Satellite を再起動する（「/usr/sbin/rhn-satellite restart」）必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85002	openSUSE セキュリティ更新：java-1_8_0-openjdk（openSUSE-2015-512）（Bar Mitzvah 氏）（Logjam）	Nessus	SuSE Local Security Checks	2015/7/27	2022/12/5	low
85153	SUSE SLED11 セキュリティ更新：java-1_7_0-openjdk（SUSE-SU-2015:1320-1）（Bar Mitzvah 氏）（Logjam）	Nessus	SuSE Local Security Checks	2015/7/31	2022/12/5	low
85265	Ubuntu 12.04 LTS：openjdk-6 の脆弱性（USN-2706-1）（Bar Mitzvah 氏）（Logjam）	Nessus	Ubuntu Local Security Checks	2015/8/7	2022/12/5	low
85373	RHEL 5 / 6：Red Hat Satellite IBM Java Runtime（RHSA-2015:1604）（Logjam）	Nessus	Red Hat Local Security Checks	2015/8/13	2023/4/25	medium

検出

プラグインの検索

low

low

low

medium